Тут у вас что-то с сетью. Смотрите где аномальный трафик (bps, pps )

http://joxi.ru/GrqBJBNi46JxPm - подскажите кто тут виноват в чем? 100% загрузки роутера (:

Закройте окно интерфейсы. Иногда открытое окно интерфейсы в винбокс приводило к нагрузке 100%

Такая же проблема со вчерашнего для CPU на 100% на CCR1009 6.40.8

Да и обновиться бы

Да и обновиться бы

Продакшен только ночью

Закройте окно интерфейсы. Иногда открытое окно интерфейсы в винбокс приводило к нагрузке 100%

Попробую и это, но Вин ночью офф всегда :(

подскажите а кто кроме OpenVPN еще умеет пушить маршруты применительно к микроту ?

подскажите а кто кроме OpenVPN еще умеет пушить маршруты применительно к микроту ?

IKEv2 но не всем и не всегда

больше нет вариантов?

больше нет вариантов?

Их больше нет, потому что они не предусмотрены другими VPN-протоколами, а не потому что их не умеет MT

ок, думаю вдруг чего не знаю, и кто то все таки умеет ...

какие варианты решения ? только статика со стороны клиента ?

какие варианты решения ? только статика со стороны клиента ?

неоднократно тут обсуждалось, зависит в большей степени от клиента - есть куча презентаций с MUM (Р. Козлов и Чудин, например)

с каким ключем погуглить ?

с каким ключем погуглить ?

https://www.youtube.com/watch?v=nYIAyj5ot2o

там не только про IKEv2

псб, посмотрю

с каким ключем погуглить ?

Вообще я тоже l2tp сегменты (которые кроме rip2 ничего не умеют) вводил в ospf через redistribution rip

🔥 [testing] New version has been released! Version: 6.45beta50 (testing) #mikrotik #routeros #update #packages #checker #testing #new https://telegra.ph/Changelog-645beta50-testing-05-21

А есть вариант btest client организовать на сторонней платформе? Интересует *nix и win

Без chr

Погуглите btest.exe, раньше был на сайте, потом выпилили. Но лучше юзайте iperf

На стороне клиента не всегда есть где iperf развернуть. Тут есть надобность указать что в скорости ОПСОС виноват, либо конечное оборудование. На ОПСОС у меня МТ смотрит, а вот конечка разная

Предлагаю закончить. Александр все настроит потом отпишет.

Так, пока отпуска и майские праздники, в общем я разрбрался, но не совсем понял почему так: Напомню ситауацию IPSec+IPIP между двумя микротиками, после того как начинаю пинговать с одного микротика(скажем "А"), соединение поднимаются, и пакеты начинают бегать. Бегают в течении часа-двух, затем туннель умирает, и с микротика "B", я не могу достучаться до микротика "А". И снова по кругу(Пинг с "А", соединение поднимается на пару часов и умирает)

Проблема была в том что умирало соединение по протоколу "ip-encap"

После того как добавил его в цепочку input стороны "А", все заработало

Может показаться глупым вопрос, но может кто объяснить почему так. Под вечер, уже сам не могу сообразить

На стороне "Б" в input я "ip-encap" не прописывал.

На стороне "Б" в input я "ip-encap" не прописывал.

Правила сравните с двух сторон. Внимательно. И будет все понятно.

доброй ночи кто скажет реально ли с одного порта организовать recive а с другого трансмит на микротике?

Правила сравните с двух сторон. Внимательно. И будет все понятно.

Перепроверил, но и настраивал все на основе default config

Перепроверил, но и настраивал все на основе default config

У вас на втором точно было не дефолт. Мутно было

на втором я сбросил на дефолт и добавил совсем чуть чуть своего

вот скрин правил второго(сторона «А»), стрелкой отметил, после добавления какого правила все заработало. Но на втором этого правила нет

вот другой(сторона «B»)

Меня смущает то что счетчики правил где разрешены политики ipsec, стоят по нулям

Меня смущает то что счетчики правил где разрешены политики ipsec, стоят по нулям

Вы картинки показываете. По ним мало что сказать можно. /ip firewall exp сделаете на pastebin для обеих железок.

Сторона «B», которая по истечению времени не может достучаться: https://pastebin.com/m7z9qnb8

Сторона «А», пинг, с которой пробуждает IPSec https://pastebin.com/h3TiYUgb

Заработало, когда на стороне «А», добавил «add action=accept chain=input comment="Allow IPSec" protocol=ipencap», но я не понимаю почему, заработало

Заработало, когда на стороне «А», добавил «add action=accept chain=input comment="Allow IPSec" protocol=ipencap», но я не понимаю почему, заработало

еще бы /ip ipsec policy exp ver

сторона «А»

https://pastebin.com/EubXdA0E

Сторона «B» https://pastebin.com/vHYhYeCu

посмотрим завтра

ок

Заработало, когда на стороне «А», добавил «add action=accept chain=input comment="Allow IPSec" protocol=ipencap», но я не понимаю почему, заработало

Только это не ipsec, а ipip.

ок

Имхо, у вас нормально не работал keep-alive на ipip, для его работы в MT достаточно добавленного правила с одной из сторон. Соответственно, туннель будет жив пока есть трафик и соответственно его зашифрует ipsec. Generic timeout для contrack как раз в районе 3-х часов

Подробнее можно узнать, отключив правило и включив log на drop-rule

Только это не ipsec, а ipip.

нуу.. ipsec+ipip, ipsec, как транспорт без создания туннеля. траффик с ipsec в созданные ipip туннель - так же?

мне просто интерфейс для маршрутизации нужен

Имхо, у вас нормально не работал keep-alive на ipip, для его работы в MT достаточно добавленного правила с одной из сторон. Соответственно, туннель будет жив пока есть трафик и соответственно его зашифрует ipsec. Generic timeout для contrack как раз в районе 3-х часов

Не нашел такого параметра. Но в принципе да. соединение живое пока в connections есть соединение по протоколу «ipencap», как только его убиваю, то пакеты перестают ходить.

Заводится все пингом со стороны «А», в то время как со стороны «Б», хоть ты тресни пинг не идет.

От сюда и непонимание, Почему пинги со стороны «B» не идут при одинаковой конфигурации?

Имхо, у вас нормально не работал keep-alive на ipip, для его работы в MT достаточно добавленного правила с одной из сторон. Соответственно, туннель будет жив пока есть трафик и соответственно его зашифрует ipsec. Generic timeout для contrack как раз в районе 3-х часов

Ну, а в чем неправильность? соединение когда-то должно закрываться. Вопрос в том что оно открывается только стороной «А»

Не нашел такого параметра. Но в принципе да. соединение живое пока в connections есть соединение по протоколу «ipencap», как только его убиваю, то пакеты перестают ходить.

https://wiki.mikrotik.com/wiki/Manual:Interface/IPIP Параметр keep-alive

https://wiki.mikrotik.com/wiki/Manual:Interface/IPIP Параметр keep-alive

Так, увидел - этот параметр у меня пуст

По дефолту 10,10 - но такие пакеты не должны дропаться хотя бы одной из сторон

Ну, что даст, если я поставлю его? Я как понимаю сединение ipcap, будет умирать, через заданный в kreepalive промежуток времени при отсутствии трафика

Нет, оно всегда будет живо при доступной второй стороне

По дефолту 10,10 - но такие пакеты не должны дропаться хотя бы одной из сторон

В приниципе так и есть. я включил на одной из стороно input на на протокол ipencap - оно работает

Ещё раз включите логи, хотя бы на accept правиле и посмотрите какие пакеты ходят, затем отключите его, дропните в conntrack соединение и смотрите в логи на drop-rule. Это и будет ответом на все вопросы

Вопрос, в том что я не понял почему? а второй вопрос заключается в том, что я не понимаю почему у меня не обрабатываются правила политик ipsec(13,14) на первом скрине

Ещё раз включите логи, хотя бы на accept правиле и посмотрите какие пакеты ходят, затем отключите его, дропните в conntrack соединение и смотрите в логи на drop-rule. Это и будет ответом на все вопросы

лог со стороны «А» где вместо дропаю ipencap

кстати, добавление аналогичного правила(input accept ipencap), на стороне «B» к успехам не привели

То есть, вопрос: почему сторона «B» без явно разрешающего в цепочке ipencap, пропускает ipencap траффик, а сторона «B» при те хже параметрах нет?(соединение поднимается пости пинга стороны «B», стороной «А» но в обратном направлении не работает)

доброй ночи кто скажет реально ли с одного порта организовать recive а с другого трансмит на микротике?

Оспф, костами выставить.

То есть, вопрос: почему сторона «B» без явно разрешающего в цепочке ipencap, пропускает ipencap траффик, а сторона «B» при те хже параметрах нет?(соединение поднимается пости пинга стороны «B», стороной «А» но в обратном направлении не работает)

Вопрос в другом. Почему у вас работало без добавления ipencap потому как new пакеты входящие на wan порт должны были дропаться. Может в интерфейс лист на Б у вас порт WAN внесён?

Да, внесен. Но на стороне «B» у меня дропается все кроме LAN

Да, внесен. Но на стороне «B» у меня дропается все кроме LAN

Покажите листы LAN на обеих железках и опишите какие порты «внешние»

сторона «B»

Сторона «А»

А бридж лан покажите ещё какие порты входят

Может кто увидит ещё. Но мне не понятно как без accept new для ipip у вас могло работать.

ок, понял. Посижу на досуге, разберусь почему оно идет, отпишусь тогда

Покажите листы LAN на обеих железках и опишите какие порты «внешние»

Тут проще сразу запросить: /ip fi ex /ip ip ex /int ip ex /int list ex с двух сторон на пасту. Иначе кусками собирать паззл приходится.